Acá encontrarás el catálogo actualizado de las plantillas de simulación de phishing que Whalemate pone a tu disposición. Cada plantilla es un correo listo para enviar: no tienes que redactar ni diseñar nada, solo elegir cuál usar al crear tu campaña.
Hoy el catálogo tiene 417 plantillas: 203 en español, 138 en portugués y 61 en inglés (más 15 en italiano, francés y alemán). Además de estas, tu empresa puede tener plantillas propias, que quedan visibles solo para tu cuenta.
Para lanzar una campaña con cualquiera de estas plantillas, mira «Crear una simulación de phishing por correo».
Los tres tipos de ataque
Cada plantilla simula un ataque distinto, y eso define qué se mide:
Solo clic (318 plantillas) — el correo lleva un enlace. Se registra quién abre el correo y quién hace clic. Al hacer clic, el colaborador llega a la página de recomendaciones que elegiste.
Entrega de credenciales (77 plantillas) — además del clic, el colaborador llega a una pantalla de inicio de sesión falsa. Se registra quién escribe ahí su usuario y su contraseña.
Ransomware (22 plantillas) — el correo simula el envío de un archivo. Se registra quién lo descarga y quién lo abre.
Cómo leer el nombre de una plantilla
Los nombres siguen una convención que te ahorra abrir la vista previa:
[ES] [PT] [EN] al principio — el idioma del correo.[CH] al final — Credential Harvesting: es la versión de entrega de credenciales.[RW] al final — es la versión de ransomware.
Muchas marcas están en las tres variantes. Por ejemplo, «Microsoft — Se ha compartido un "archivo" contigo» existe como solo clic, como [CH] y como [RW]: es la misma historia con distinta profundidad de medición.
Alrededor de 4 de cada 10 plantillas todavía no llevan el prefijo de idioma en el nombre: son las más antiguas del catálogo. Para filtrar por idioma con seguridad, usa el filtro del selector y no el nombre.
Herramientas de trabajo y nube
La familia más grande del catálogo: 228 plantillas. Son las que mejor funcionan como primera campaña, porque imitan correos que el colaborador espera recibir.
- Microsoft 365 — cuenta suspendida, renovación de contraseña, archivo compartido · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH], [RW]
- Microsoft SharePoint — eliminación de archivos · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Microsoft Teams — te añadieron a un equipo, está intentando comunicarse contigo, filtración de seguridad, unirse ahora · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Google Workspace — alerta de seguridad, inicio de sesión sospechoso, recuperación de cuenta · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Google Drive y Google Forms — se compartió una hoja de cálculo, te agregaron a una unidad compartida, formulario · 🇪🇸 🇧🇷 🇺🇸 · clic,
[RW]
- Google Cloud y Google Analytics — pago rechazado, reporte de Analytics · 🇧🇷 🇺🇸 · clic
- OneDrive — documento enviado · 🇧🇷 · clic
- Herramientas de IA — ChatGPT (webinar, pago fallido, restablecer contraseña, reporte de suscripción), Copilot con GPT-5, Gemini, Claude, DeepSeek, Cursor, datos compartidos con OpenAI · 🇪🇸 🇧🇷 · clic,
[CH], [RW]
- Atlassian, Jira, Confluence y Trello — token de API por vencer, cuenta suspendida, recuperación de contraseña, validar información personal · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Slack — cuenta suspendida, confirma tu correo · 🇪🇸 🇧🇷 🇺🇸 · clic
- AWS — intento de inicio de sesión, restaurar archivos, facturación excedida · 🇧🇷 🇺🇸 · clic,
[CH]
- SAP, ClickUp, Notion, Figma, GitHub, GitLab, Webflow, PandaDoc, Metabase, HubSpot — acceso no autorizado, exportación lista, invitaciones, doble factor · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Gestores de contraseñas — 1Password (recuperación de cuenta), Bitwarden (instalación) · 🇧🇷 🇺🇸 · clic
- Adobe ID — contraseña cambiada · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Apple e iCloud — compra no reconocida, datos de cuenta actualizados, recibo de compra, Apple Arcade · 🇧🇷 🇺🇸 · clic,
[CH], [RW]
- Zoom, LinkedIn, Instagram, WhatsApp, Spotify y YouTube — invitación a reunión, cuenta suspendida, contraseña cambiada, nuevo inicio de sesión, código de acceso · 🇪🇸 🇧🇷 · clic,
[CH]
Telefonía e internet
Muy usadas en Brasil, donde el correo de la operadora es cotidiano.
- Claro — actualización de la línea, bono de internet, factura abierta, comprobante · 🇪🇸 🇧🇷 · clic,
[CH], [RW]
- TIM — actualización de la línea, bono de internet, confirmación de acceso, documento · 🇧🇷 · clic,
[CH], [RW]
- Vivo — cambio de chip, confirmación de acceso, comprobante de solicitud · 🇧🇷 · clic,
[CH], [RW]
- Tigo — actualización de contraseña, en Bolivia y Colombia · 🇪🇸 · clic,
[CH]
- Movistar — Cyber Day, sorteo de iPhone · 🇪🇸 · clic
- Algar Telecom — factura · 🇧🇷 · clic
Bancos, finanzas y billeteras
- Bancos de Argentina — Galicia, Macro, Santander Río, ICBC, Banco Nación, BCRA, Byma · 🇪🇸 · clic,
[CH]
- Bancos de Chile — Banco de Chile, BCI, BancoEstado · 🇪🇸 · clic,
[CH]
- Bancos de Perú — BCP y BBVA: actualización de clave, inconsistencia en el estado de cuenta · 🇪🇸 ·
[CH], [RW]
- Bancos de Colombia y Brasil — Bancolombia (conexión empresarial), Nubank, Santander, Itaú, Sam's Club · 🇪🇸 🇧🇷 · clic,
[CH]
- Billeteras y fintech — Mercado Pago, Modo, Takenos, DolarApp, Astropay · 🇪🇸 🇧🇷 · clic
- Banca internacional — JP Morgan, Morgan Stanley, BCB (segundo factor), Chainalysis · 🇺🇸 · clic,
[CH]
- Impuestos y organismos — ARCA (certificados digitales, cepo cambiario, impuesto a las ganancias), ARBA (deuda de impuesto automotor, domicilio fiscal electrónico, plan de pagos), DIAN Colombia, notificación de sentencia · 🇪🇸 · clic,
[CH], [RW]
Recursos humanos y pagos internos
Las que más caen, porque el remitente parece interno.
- Pago de utilidades — comprobante, depósito, liquidación, notificación · 🇪🇸 · clic
- Recibo de sueldo (TuLegajo) · 🇪🇸 · clic
- Deel — te pagaron, alerta de seguridad, encuesta de feedback · 🇧🇷 🇺🇸 · clic,
[CH]
- HIBOB, Humange y Naaloo — documentos y legajos · 🇪🇸 · clic,
[CH]
- Beneficios corporativos — Wellhub, Si Vale, Oh! Gift Card, PedidosYa (beneficio corporativo), Uber (cuenta de tu empresa) · 🇪🇸 🇧🇷 · clic,
[CH]
Viajes
- Aerolíneas — Aerolíneas Argentinas, LATAM, Sky, JetSmart, Avianca, Aeroméxico, Gol, Azul · 🇪🇸 🇧🇷 · clic,
[CH], [RW]
- Agencias y programas de puntos — Despegar/Decolar (Travel Sale, puntos, pasaporte), TurismoCity, Al Mundo, Pezzati, Pax · 🇪🇸 🇧🇷 · clic,
[CH]
Compras, promociones y fechas del calendario
Piezas atadas a una fecha. Conviene programarlas cerca del evento real, que es cuando el colaborador está esperando ese correo.
- Mundial 2026 — Coca-Cola, Visa, Adidas, Aerolíneas Argentinas, jugador favorito, Mundial de Clubes · 🇪🇸 🇧🇷 · clic,
[CH]
- Hot Sale — Nike, Adidas, Rappi, Frávega, Megatlon, Banco Nación, Modo, TurismoCity · 🇪🇸 · clic
- Black Friday — Mercado Libre, Despegar, Frávega, Astropay, Turismo City, Samsung · 🇪🇸 🇧🇷 · clic,
[CH]
- Cyber Day — Falabella Viajes, Movistar, Autoplanet, Mercado Libre · 🇪🇸 · clic,
[CH]
- Navidad, Pascuas y Día del Padre — Grido, BigBox, GoPro, Samsung, Magalu, Apple, Adidas, Líder Chile, Banco de Chile · 🇪🇸 🇧🇷 · clic,
[CH]
- San Valentín y Dia dos Namorados — sorteo, Mercado Pago · 🇪🇸 · clic
- Retail y marcas — Mercado Libre/Mercado Livre, Amazon, Samsung, Motorola, Xiaomi, Lenovo, Tramontina, Kérastase, Frizata, McDonald's · 🇪🇸 🇧🇷 · clic,
[CH], [RW]
Entretenimiento y suscripciones
- Netflix, Disney+, GloboPlay y Spotify — error con el pago, acceso no autorizado, nuevo inicio de sesión, meses gratis · 🇪🇸 🇧🇷 🇺🇸 · clic,
[CH]
- Cinemark, Lollapalooza, BigBox y Duolingo — promociones, reservas, inscripciones · 🇪🇸 · clic,
[RW]
- Gastronomía — PedidosYa (Chile y Perú), Mostaza, Pizzería Popular · 🇪🇸 · clic,
[CH]
Salud y bienestar
- OSDE — beneficio, contraseña modificada, valor de la cuota, datos de acceso bloqueados, credencial · 🇪🇸 · clic,
[CH]
- Swiss Medical, Medife y AMUR — nuevo acceso, actualización de datos · 🇪🇸 · clic,
[CH]
- Gimnasios — Megatlon, SportClub · 🇪🇸 · clic
Gobierno, tránsito y logística
- Notificaciones de infracción — Ciudad de Buenos Aires (acta, legajo, infracción pendiente), infracción de tránsito de Brasil · 🇪🇸 🇧🇷 · clic,
[RW]
- Correos y envíos — Correo Argentino, Correios, Urbano, pedido retenido en la aduana · 🇪🇸 🇧🇷 · clic,
[CH]
Energía y combustible
- Petrobras, Shell y Equinor — actualización de datos, descuento especial en combustible, acceso con Google, documento de validación · 🇧🇷 · clic,
[CH], [RW]
- YPF · 🇪🇸 · clic
❓ Preguntas frecuentes
- ¿Puedo cambiar el tipo de ataque de una plantilla?
No. El tipo viene con la plantilla: una de solo clic no se convierte en una de credenciales. Si quieres medir credenciales, elige una que tenga [CH] en el nombre, o filtra por tipo en el selector. Muchas marcas están disponibles en las tres variantes.
- ¿Hay plantillas en inglés?
Sí, 61. Es un catálogo más chico que el de español y portugués, y está concentrado en herramientas de trabajo (Microsoft, Google, Atlassian, AWS) y banca internacional. Si necesitas una marca en inglés que no está, pídela.
- ¿Por qué veo plantillas de marcas de otros países?
El catálogo es regional y se comparte entre todos los clientes: vas a encontrar bancos y comercios de Argentina, Chile, Perú, Colombia, Bolivia y Brasil. Usa el buscador por nombre para llegar rápido a las de tu país.
- ¿Puedo usar mis propias plantillas?
Sí. Tu empresa puede tener plantillas propias, que aparecen en el mismo selector junto a las del catálogo y quedan visibles solo para tu cuenta.
- ¿Cada cuánto se suma contenido nuevo?
De forma continua. El catálogo se amplía sobre todo alrededor de las fechas comerciales —Hot Sale, Black Friday, Navidad, el Mundial— y cuando aparece una marca o una herramienta nueva que se vuelve blanco frecuente de ataques reales. La última incorporación es de julio de 2026.
- ¿Puedo pedir una plantilla que no está?
Sí. Pídela en roadmap.whalemate.com/roadmap contando qué marca y qué situación quieres simular.
¿Tienes feedback o quieres solicitar mejoras? Háznoslo saber en roadmap.whalemate.com/roadmap
